米国がサウジの石油施設と米国の原子力発電所をハックしたロシアのスパイ4人を起訴

米司法省は、同国の原子力発電事業者やサウジアラビアの石油化学施設といった重要なインフラを標的とした数年にわたるハッキング活動で、ロシア政府職員4人を起訴したと発表した。

2021年6月の最初の起訴状は、ロシア国防省のプログラマーであるEvgeny Viktorovich Gladkikh（エフゲニー・ビクトロビッチ・グラッドキク、36歳）と2人の共謀者を、全世界のエネルギー施設で産業制御システムのハッキングを計画したとして起訴している。グラッドキクは2017年にサウジアラビアの石油化学プラントを標的とした悪名高いマルウェア「Triton」の背後にいると考えられており、それは2017年のサウジアラビアの石油化学工場に対する攻撃で使われている。ハッカーはこのマルウェアを使って、漏洩や爆発につながる危険な状態を防ぐために設計されたプラントの安全システムを無効化しようとした。Tritonは、2018年10月に初めてロシアに関連するものだとされた。

司法省によると、サウジの工場を爆破する計画に失敗したハッカーたちは、米国の同様に重要なインフラを管理する企業のコンピューターをハックしようとしたという。

2021年8月に提出された2件目の起訴状は、ロシア連邦保安局（FSB）の軍事ユニット71330のメンバーとされるPavel Aleksandrovich Akulov（パベル・アレクサンドロヴィッチ・アクロフ）とMikhail Mikhailovich Gavrilov（ミハイル・ミハイロビッチ・ガヴリロフ）、およびMarat Valeryevich Tyukov（マラト・ヴァレリエヴィッチ・チューコフ）が、2012年から2017年にかけてエネルギー分野を標的とした数々の攻撃で起訴されているものだ。セキュリティ研究者の間では「DragonFly」「Energetic Bear」「Crouching Yeti」として知られているこのハッカーは、石油・ガス会社、原子力発電所、公益・送電会社といった国際エネルギー分野の企業のコンピューターネットワークにアクセスしようとしたと、司法省は述べている。

2012年から2014年にかけて行われたこの攻撃の第一段階では、産業用制御機器メーカーやソフトウェアプロバイダのネットワークを侵害し、ソフトウェアアップデートにHavexマルウェアを隠蔽した。加えて、スピアフィッシングや水飲み場型攻撃（ユーザーがよく訪れるウェブサイトに感染させることでユーザーを狙う攻撃形態）により、攻撃者は米国内外の1万7000以上のデバイスにマルウェアをインストールしたとされている。

2度目の「DragonFly 2.0」と呼ばれる段階は2014年から2017年にかけて行われ、米国およびグローバルの500社ほどの企業のユーザー3300名以上が狙われた。その中には米国政府の原子力規制委員会やウルフリーク原子力発電所も含まれている。

米国の副司法長官Lisa Monaco（リサ・モナコ）氏は声明で次のように述べている。「ロシアが支えているハッカーは米国および世界の重要インフラにとって深刻で恒常的な脅威を与えている。本日の刑事告発は過去の活動を反映するものだが、米国企業が防御を強化し、警戒を続けることが緊急に必要であることを明確に示している」。

Mandiant（マンディアント）の諜報分析担当副社長John Hultquist（ジョン・ハルトキスト）氏によると、今回の起訴はロシアの国家主導型ハッキングの試みにおけるFSBの役割を垣間見ることができ、こうした破壊的サイバー攻撃を行うロシアの侵入集団に対する「警告射撃」であると述べている。また「これらの行動は個人的なものであり、起訴はプログラムのために働いている人には、当分の間、ロシアを離れるなと知らせるためのものだ」とハルトキスト氏はいう。

しかし、ハッカーはこれらのネットワークへのアクセス権を保持している可能性が高いとハルトキスト氏は警告する。「ハッカーが実際に破壊的な攻撃を行うのを見たことはなく、将来の不測の事態に備えて重要なインフラに潜り込んでいるだけです。最近の出来事で私たちが懸念しているのは、これが不測の事態になるかもしれないということです」。

Dragosの上級索敵員Casey Brooks氏はTritonマルウェアの背後にいるグループを「Xenotime」と呼び、TechCrunchの取材に対して「起訴がハッカーたちを思いとどまらせることはない」と言っている。

Tritonマルウェアの背後にいるグループを「Xenotime」と呼ぶDragosのシニアアドバーサリーハンターであるCasey Brooks（ケーシー・ブルックス）氏は、今回の起訴がハッカーたちを抑止することはないだろうと語る。

「これらの活動グループは、十分な資金を持ち、継続的に複雑なオペレーションを行うことができる。起訴状には、これらのグループの侵入活動の一部が詳述されているが、その幅はとても大きい。例えば、Xenotimeの場合、これは彼らの活動のほんの一部に過ぎないことがわかっている。これらのグループは現在も活動しており、おそらく起訴状はこれらのグループの今後の活動の抑止にほとんど役に立たないであろうことを認識することが重要だ」。

今回の起訴状公開は、ウクライナ侵攻によるロシアへの欧米制裁を受け、Joe Biden（ジョー・バイデン）大統領が米国企業に対するロシアのサイバー脅威が増大していると警告した3日後に行われたものだ。また、司法省がロシアの軍事情報機関であるGRUに所属するハッカー6人を起訴した数日後でもある。Sandwormと呼ばれるハッカーたちは、2017年に世界中の数百の企業や病院を標的とした破壊的なサイバー攻撃「NotPetya」やウクライナの電力網を停止させたサイバー攻撃など、5年間におよぶ一連の攻撃で告発されている。

画像クレジット：David McNew/Getty Images

［原文へ］

（文：Carly Page、翻訳：Hiroshi Iwatani）